개요

서비스 메시 내의 구성원은 서비스 레지스트리를 통해 서로의 주소를 파악하고 관리한다.
이스티오는 컨트롤 플레인이 이 서비스 레지스트리를 관리하며 각 프록시에게 필요한 주소의 정보를 알려준다.
그러나 이스티오 이그레스 게이트웨이를 만들 때 하나의 문제가 발생하는데, 바로 클러스터 외부의 주소는 서비스 레지스트리에 기본적으로 등록되지 않는 주소라는 점이다.
그래서 서비스 메시 내의 서비스가 아닌 주소를 서비스 레지스트리에 등록하기 위해, 서비스 진입점을 만드는 리소스가 바로 ServiceEntry이다.^[1]
이 리소스를 만들면, Gateway나 VirtualService에서 해당 주소에 대해 여러 설정을 할 수 있게 된다.

워크로드 엔트리와의 관계는 조금 더 공부하고 정리하겠다.

ServiceEntry 양식 작성법

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: httpbin-ext
spec:
  hosts:
  - httpbin.org
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  location: MESH_EXTERNAL

어떤 식으로 작성하는지 간단하게 설명한 후에 기능들을 살펴보겠다.
일단 hosts와 ports 필드를 통해 어떤 호스트, 포트를 진입점으로 등록할 것인지 명시한다.

  addresses:
  - 192.192.192.192/24
  endpoints:
  - address: us.foo.bar.com
    ports:
      http: 8080

addresses 필드는 이 진입점으로 들어오기 위한 IP 대역을 나타낸다.
가상 IP라고 보면 되겠다.
endpoints는 실제 트래픽을 보내야할 엔드포인트를 나타낸다.
이 필드가 있으면 기본적으로 서비스 엔트리가 등록될 때 hosts 필드를 이용해 DNS 쿼리를 날리지 않고, 이 주소를 사용한다.

location 필드에는 두 가지 값이 가능하다.

• MESH_EXTERNAL - 서비스가 메시 외부에 있음을 나타낸다.
• MESH_INTERNAL - 메시 내부에 있긴 하나 레지스트리에 등록되지 않은 서비스를 등록할 때 사용한다.
  • 가령 클러스터 외부에 VM을 메시 내부로 들이고 싶을 때 설정한다.
  • 이렇게 설정되면 서비스 간 mTLS 설정이나, 정책 적용의 영향을 받게된다.

resolution 필드는 프록시가 IP 주소를 알아내어 어떻게 라우팅할지를 지정한다.

• DNS - 일반적인 DNS 방식으로, 보통은 hosts 필드의 도메인을 보고 질의하여 IP 주소를 알아낸다.
• NONE - 들어오는 요청이 이미 자체적으로 IP 주소 질의를 마쳤다고 가정한다.
• STATIC - endpoints 필드에 명시된 IP 주소만 사용한다.
• DNS_ROUND_ROBIN - DNS 로드밸런싱을 쓰는 환경에서 각 연결은 첫번째로 연결된 주소로만 연결되도록 보장한다.

예시

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: external-svc-mongocluster
spec:
  hosts:
  - mymongodb.somedomain # not used
  addresses:
  - 192.192.192.192/24 # VIPs
  ports:
  - number: 27018
    name: mongodb
    protocol: MONGO
  location: MESH_INTERNAL
  resolution: STATIC
  endpoints:
  - address: 2.2.2.2
  - address: 3.3.3.3

addresses 필드로 몽고 디비로 가야할 트래픽 ip 대역을 정했다.
실제 트래픽은 endpoints에 명시된 2.2.2.2, 3.3.3.3으로 가게 될 것이다.

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: external-svc-httpbin
  namespace : egress
spec:
  hosts:
  - example.com
  exportTo:
  - "."
  location: MESH_EXTERNAL
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS

exportTo 필드는 이 서비스 엔트리 진입점을 인식하는 네임스페이스를 제한할 수 있다.
위 예시는 egress 네임스페이스에서만 사용할 수 있도록 한다.

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: external-svc-dns
spec:
  hosts:
  - foo.bar.com
  location: MESH_EXTERNAL
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: DNS
  endpoints:
  - address: us.foo.bar.com
    ports:
      http: 8080
  - address: uk.foo.bar.com
    ports:
      http: 9080
  - address: in.foo.bar.com
    ports:
      http: 7080

엔드포인트로 도메인을 지정하는 것도 가능하다.
이 경우 HTTP_PROXY=http://localhost/ 환경변수를 둔 상태로 foo.bar.com에 요청을 하게 되면 세 엔드포인트 중 하나로 가게 된다고 한다.
(문서만 봤을 때는 잘 와닿지 않아서 테스트해봐야겠다.)

apiVersion: networking.istio.io/v1
kind: ServiceEntry
metadata:
  name: details-svc
spec:
  hosts:
  - details.bookinfo.com
  location: MESH_INTERNAL
  ports:
  - number: 80
    name: http
    protocol: HTTP
  resolution: STATIC
  workloadSelector:
    labels:
      app: details

프록시가 세팅되지 않은 클러스터의 워크로드에 대한 진입점을 등록할 때 workloadSelector를 써주면 유용하다.

관련 문서

참고